Den digitale signatur

Transkript

1 3. Å RG A N G NR. 3 / 2004 Den digitale signatur - anvendt talteori og kryptologi Fra at være noget, der kun angik den militære ledelse og diplomatiet, har kryptologi med brugen af internettet fået direkte betydning for alle. Hvor det tidligere var hemmeligholdelsen, der var det vigtigste, er det nu lige så meget at kunne godtgøre, at man er den, man giver sig ud for - at kunne sætte sin digitale signatur. I de sidste 30 år er der udviklet krypteringssystemer, der bygger på en matematisk diciplin talteori om de hele tal, der ellers indtil da ikke har haft nogen særlig praktisk anvendelse. Computeren har gjort det nemmere at kryptere, men bestemt også nemmere at bryde koderne, så der foregår et stadigt kapløb.

2 Fra Cæsar til RSA Oprindelsen til ordet kryptere er græsk, hvor det betyder skjult eller grotte. Kryptologi - læren om koder - handler om hvordan man kan kryptere meddelelser, men også om hvordan man kan bryde koder og vurdere sikkerheden. Man kender krypteringssystemer, der er brugt helt tilbage i oldtiden og de er af samme type, som børn i dag selv finder på, når de skal sende hemmelige beskeder. Cæsar udviklede et system, hvor han byttede om på alfabetets bogstaver, således at hvert bogstav i den oprindelige tekst blev erstattet med det bogstav, der står 3 pladser længere fremme i alfabetet. Således bliver Cæsar til Favdu. Den tekst, der kommer ud af det, ser ved første øjekast helt umulig ud, men den skal ikke være ret lang før den kan tydes ved at se på hyppigheden af de forskellige bogstaver. Enhver, der har spillet "Scrabble" ved, hvor let det er at placere et E - det giver heller ingen points - og hvor svært det er at placere et X, der til gengæld giver 8 points. Denne pointgivning følger nøje bogstavfordelingen i en vilkårlig dansk tekst, der vil se nogenlunde sådan ud (i procent). Er der byttet om på alfabetets bogstaver, vil der blot blive byttet om på søjlerne i diagrammet, men den højeste søjle vil sikkert afsløre E, den næsthøjeste R, etc. Et krypteringssystem, hvor man blot bytter om på bogstaverne er således ikke til megen nytte. Der er i tidens løb udvist stor opfindsomhed for at undgå den store forekomst af E, men først med Vigenére (1586) opnåede man en rimelig sikkerhed. I Vigenére systemet vælger man en række hele tal, som skrives under meddelelsens bogstaver, idet den valgte talrække gentages, hvis antallet af bogstaver i meddelelsen er længere end talrækken. Hvert bogstav kodes så ved at erstatte det med det bogstav, der står lige så mange pladser længere fremme i alfabetet, som det tilhørende tal angiver. A N G R I B N U D U Ø R L I A U Der er ikke let at bryde Vigenére systemet, men kender man længden af talrækken, perioden, så er det ganske simpelt. En nøje statistisk analyse afslører, at visse karakteristiske træk ved sproget ikke lader sig skjule ved krypteringen, og dette kan føre til bestemmelse af perioden blot teksten er 5-10 gange længere end perioden. Det victorianske internet Med telegrafens fremkomst i midten af 1800-tallet opstår helt nye behov for sikkerhed, og de samme diskussioner, vi har i dag med hensyn til sikkerhed på internettet, var på dagsordenen dengang. I princippet kan enhver jo tappe en telegraflinje, hvad den danske regering så bitterligt måtte sande i forbindelse med fredsslutningerne i Wien efter 1864-krigen. Her sendte man meddelelser fra København til Wien via Berlin. Den anvendte kode var ikke mere kompliceret end Cæsars, så det voldte ikke Bismarck større problemer at læse med. Med Cæsar og Vigenére systemet klarede man krypteringen med blyant og papir, men efterhånden som behovet for kryptering blev større, udvikledes alskens sindrige instrumenter hertil, fx de berømte maskiner fra 2. Verdenskrig, Enigma og Hägelin. Moderne krypteringsmetoder I 1977 udviklede Rivest, Shamir og Adleman et krypteringssystem, der gav langt større sikkerhed end tidligere og var velegnet til computere. Princippet i selve krypteringsdelen i RSA-systemet er følgende: Teksten omsættes til tal ved for eksempel først at kode hvert bogstav således A = 01, B = 02,..., Å =29 2

3 Den kodede tekst kan derefter inddeles i blokke, så hver blok er et tal m med for eksempel 150 cifre. Den maksimale størrelse af m må højst være lig med et på forhånd valgt naturligt tal n. I figuren nedenfor er der brugt blokke på 6 cifre. ANG RIB VED DAG GRY m 1 m 2 m 3 m 4 m 5 Det er forbavsende enkle beregningsformler, der bruges til at kryptere blokkene. Der vælges et passende naturligt tal k, og hver blok m krypteres ved at udregne den rest man får, når m k divideres med n. Dette tal betegnes rest (m k, n). Eksempel. Hvert enkelt bogstav krypteres altså ikke for sig, men for at illustrere princippet, er valgt et n på 33. Når k samtidig sættes til 3, bliver krypteringen som vist i tabellen. Fx er 9 3 = 729 = så rest (9 3, 33) = 3 Det er afgørende, at tallene i anden kolonne er de samme som i første kolonne, blot i en anden rækkefølge, hvilket ikke vil være tilfældet for alle værdier af k. Man kan dekryptere på samme måde som man krypterede, men med en anden værdi for k. Denne værdi - der normalt kaldes d - kan i eksemplet vælges som 7. Fx er 3 7 = 2187 = så rest (3 7, 33) = 9 og så er man tilbage. Krypteringen er bestemt ved talparret (k,n), som derfor kaldes en nøgle, og man kan som i eksemplet få den oprindelige meddelelse frem ved at bruge en nøgle (d,n) på den krypterede meddelelse. Selvom beregningsformlerne er enkle, er det klart, at regning med så store tal som dem der bruges i praksis, kræver en computer og specialprogrammer. Tænk på at skulle opløfte et tal på omkring 100 cifre til en potens, hvor eksponenten for eksempel har 20 cifre. y = rest(m 3, 33) m y Enigma maskine. 3

4 Public Key konceptet de konventionelle systemer er der ingen principiel I forskel på at kryptere og dekryptere. Kan man det ene, kan man også det andet. I Cæsars system krypteres ved at forskyde 3 pladser til højre i alfabetet - der dekrypteres ved at forskyde 3 pladser til venstre. I RSA-systemet er det ikke i praksis muligt at dekryptere en tekst, selvom man kender den nøgle (k,n), der er brugt ved krypteringen. I dette system vælges n som et produkt af to primtal, og det er kun muligt at bestemme den nøgle (d,n), der kan dekryptere, hvis man ved, hvilke to primtal n er dannet udfra. Det er nemt nok at opløse et tal n i primfaktorer ved at prøve sig frem, hvis n ikke er for stort, men for tal med 150 cifre bliver det en helt uoverkommelig opgave for selv de allerhurtigste computere. For den, som kender de to primtal, som n er produkt af, er det til gengæld ret let at beregne d, men fremgangsmåden er en teknisk detalje. En person kan altså selv konstruere en nøgle (k,n) og offentliggøre den på for eksempel sin hjemmeside og bede om at vigtige meddelelser bliver krypterede med denne nøgle. Selv om en af disse meddelelser skulle blive opsnappet af en fjende, vil fjenden ikke kunne dekryptere den, da det kræver kendskab til nøglen (d,n). I en sådan situation kaldes (k,n) den offentlige nøgle, som også betegnes P (for public), mens (d,n) kaldes den hemmelige nøgle, som betegnes S (for secret). De to nøgler ophæver hinanden forstået på den måde, at hvis man låser, det vil sige krypterer, med for eksempel den hemmelige nøgle, så kan man låse op, altså få den oprindelige tekst frem, med den offentlige nøgle. Den nøgle, der er brugt til at låse, kan ikke, i modsætning til en almindelig nøgle, låse op igen. Digital signatur Der kan også være behov for, at man som afsender af en meddelelse, ikke nødvendigvis hemmelig, kan godtgøre, at man virkelig er den, man giver sig ud for at være. Hvis man har en hemmelig nøgle S og en offentlig nøgle P, kan man sammen med den egentlige meddelelse sende en typisk kortere tekst H, dels i en ikke krypteret udgave, dels i en udgave S(H), der er krypteret med den hemmelige nøgle. Modtageren kan så bruge den påståede afsenders offentlige nøgle P på S(H) og se efter om man får H. Det er jo kun, hvis de to nøgler svarer til hinanden, at man får den oprindelige tekst H frem. Afsenderen kan på denne måde sætte sin underskrift på meddelelsen, sin digitale signatur. Hvor skal den enkelte bruger af et public-key system anbringe sin offentlige nøgle, således at de andre brugere har adgang til den og kan være sikre på, at den virkelig tilhører den person, som påstås at være ejermanden? y = rest ( x 3, 33 ) En tekst, der er krypteret med denne funktion, skal dekrypteres ved at bruge den omvendte funktion, hvor man for en given y-værdi finder den tilsvarende x-værdi. 4

5 venstresiden og højresiden og på den måde se, om man er i nærheden af en løsning. Det hænger sammen med at højresiden varierer så tilfældigt som vist på figuren på modsatte side. I Danmark vandt TDC i 2003 Videnskabsministeriets udbudskonkurrence om Digital Signatur. Det betyder, at TDC registrerer offentlige nøgler og garanterer for ejernes identitet. Når en bruger registreres udstedes et såkaldt personcertifikat, og aftalen mellem staten og TDC betyder, at disse certifikater er gratis, og at alle kan få et personcertifikat, uanset om man er kunde hos TDC eller ej. Sikkerheden Sikkerheden i et public-key system bygger på, at man ikke kan dekryptere en meddelelse, selvom man kender krypteringsnøglen (k,n). Man kan forestille sig, at en fjende ville kunne angribe systemet på en række forskellige måder. Man kan jo i princippet få den oprindelige tekst frem ved at løse ligninger af typen r = rest(x k,n) fx 5 = rest(x 3,33) Det vil tage for lang tid bare at prøve sig frem ved at indsætte 1, 2, osv. som x, når n er tilstrækkelig stor. Der er heller ikke fundet mere avancerede brugbare søgningsmetoder, som ved almindelige ligninger, hvor man ved indsættelse af et gæt kan sammenligne Systemet ville som nævnt også kunne angribes ved (at prøve) at faktorisere n, altså finde de to primtal, som n er et produkt af. Det er utænkeligt, at selve computerens hastighed skulle kunne øges så meget, at dette skulle kunne lykkes med de nuværende kendte matematiske metoder; men det er ikke udelukket at der bliver fundet en ny faktoriseringsmetode, der er langt hurtigere end de kendte. Matematiske opdagelser når sjældent avisforsiderne, men det skete i efteråret Det var lykkedes tre indiske matematikere Agrawal, Kayal and Saxena at finde en ny test til at afgøre, om et tal er et primtal. Testen, der i dag kaldes AKS-algoritmen er forbavsende enkel og teoretisk set hurtigere end tidligere kendte test. Nogle af de første pressemeddelelser om den nye primtalstest antydede at den kunne være en trussel mod RSA-systemet; men det er ikke tilfældet. Snarere tværtimod. Den gør det lettere at finde de primtal, der skal bruges til at lave n, men har ingen indflydelse på faktoriseringen af n. Når matematikere har kunnet overse en så simpel primtalstest så længe, kunne de måske også have overset en simpel faktoriseringsmetode. Firmat Cryptomathic, hvis logo ses her på siden, udvikler sikkerhedssystemer til kommunikation via nettet. Det blev startet i 1986 af tre matematikere fra Århus, og har udviklet sig til en større virksomhed med kontorer i flere lande i Europa. I Danmark har TDC benyttet software fra Cryptomathic ved udviklingen af systemet til digitale signaturer. 5

6 ELLIPTISKE KURVER Inden for de sidste 10 år er man begyndt at kryptere ved hjælp af elliptiske kurver - kurver, der har ligninger på formen 2 3 y = x + ax + b hvor a og b er tal, således at kurverne har tangenter i alle punkter. En af de specielle egenskaber ved disse kurver er, at man på en geometrisk måde kan addere punkter på kurven. Lad P og Q være to punkter på kurven. Hvis P Q betegnerlsekantlinien gennem punkterne, og hvis P = Q er l tangentlinien til kurven i P. Antager vi, at l ikke er lodret, så skærerl den elliptiske kurve i præcis et ekstra punkt R. Dette punkt spejles i x-aksen, og vi opnår resultatet af additionen, nemlig punktet P + Q, se figuren herunder. (1) decimaler, så de punkter på kurven man kan bruge, skal kunne angives eksakt med endeligt mange decimaler, og den slags punkter kan det godt være svært at finde nok af, selv i tilfælde hvor der er uendelig mange. Elliptiske kurver modulo et primtal p Løsningen på dette problem er at vælge et i praksis stort primtal p og regne modulo p. Det vil sige, at et par af hele tal (x,y) er løsning til ligningen (1), hvis bare venstre-siden og højresiden giver samme heltalsrest ved division med p. 2 3 For eksempel er (3,2) løsning til ligningen y = x x +1 modulo 7, da højresiden giver 25, som har rest 4 ved division med 7. Det er let at udlede formler for, hvordan koordinaterne til P+Q kan beregnes ud fra koordinaterne til P og Q; disse beregningsformler er simple på den måde, at der kun indgår de sædvanlige fire regningsarter. Skæringspunktet mellem l og kurven kan nemlig beregnes ved at løse en trediegradsligning, hvor man på forhånd kender to rødder. I grove træk foregår krypteringen på følgende måde. Der vælges et fast punkt Q på kurven. Meddelelsen omsættes til tal, som så igen omsættes til et punkt på kurven. Den krypterede tekst fremkommer ved addere Q til dette punkt. I praksis er der imidlertid et par knolde på vejen. En computer regner kun med et endeligt antal y På denne måde bliver der mange løsninger. Antallet af løsninger, hvor både x og y er et af de hele tal fra 0 til p-1, er af samme størrelsesorden som p. Det betyder, at hvis man prøver sig frem ved at indsætte x lig med 0,1,2, vil i gennemsnit cirka hver andet forsøg give to løsninger. To løsninger P og Q modulo p kan adderes ved at bruge de tidligere nævnte beregningsformler for P+Q, idet der nu regnes modulo p. Kryptering ved hjælp af elliptisk kurver, som betegnes ECC, kan foregå som beskrevet i boksen på næste side. R Her betegner dg et punkt af formen G+G+ + G, hvor d er antallet af led i summen. P Q x P Q 6

7 Det diskrete logaritmeproblem Kan den hemmelige nøgle d bestemmes udfra punkterne G og dg, kan systemet brydes. At finde d er at løse det diskrete logaritmeproblem - sikkerheden beror altså på, at det diskrete logaritmeproblem er uløseligt i praksis! Eksempel. Lad p=13 og betragt den elliptiske kurveligning 2 3 y = x x +1 Tabellen viser at ligningen d(12,1) = (6,7) modulo p har løsningen d = 6. G 2G 3G 4G 5G 6G (12,1) (3,8) (10,9) (7,5) (4,3) (6,7) Fordele ved ECC ECC kræver mindre lagerplads og energi, fordi man med kortere nøgler kan opnå den samme sikkerhed. En nøglelængde på 2048 i RSA modsvares for eksempel af en på kun 224 i ECC. Derfor kan man lave stærke kryptografiske løsninger på mindre platforme, for eksempel mobiltelefoner og smartcards. ECC er standardiseret. For eksempel angiver The National Institute of Standards and Technology (NIST) standarder for kryptografiske metoder som de offentlige myndigheder i USA kan anvende. Blandt andet anvises 15 elliptiske kurver, der må bruges. Også i Europa og Japan er der standarder. y I virkelige anvendelser vil d være så stor, at den her anvendte metode er helt og aldeles uegnet. Faktisk er der ikke nogen kendt effektiv metode - det er hele sikkerheden i kryptosystemet! NØGLEKONSTRUK TION Personen A laver et nøglepar ved at vælge en elliptisk kurve E med et punkt G samt et tal d. x Den offentlige nøgle er ( E, G, d G ). Den hemmelige nøgle er tallet d. KRYPTERING Personen B vil sende en besked til A. Beskeden repræsenteres som et punkt M på kurven E. B vælger et tilfældigt tal k. B beregner og sender (R,S), hvor R = k G og S = M + k ( d G ) DEKRYPTERING Modtageren A dekrypterer : -d R + S = -d ( k G) + M + k ( d G ) = M 7

8 Alan Turing og Enigma I sommeren 1939, hvor en krig truede, samledes et lille hold af videnskabsmænd og skrappe krydsordsløsere på Bletchley Park, et herskabeligt landsted i Buckinghamshire. Deres opgave var at bryde tys kernes Enigma kode, der var rygraden i al tysk efterretnings- og militærkorrespondence. Deres odds var meget små, men det lykkedes alligevel. Da tys kerne samtidig anså Enigma for ubrydelig, skiftede de meget sjældent nøgle, hvilket betød, at englænderne i et par år kunne dekryptere næsten al tysk korrespondence - indtil marts Her oplevede kodebryderne et sandt mareridt, idet de tyske U-både ganske uventet ændrede den Enigma kode, som de kommunikerede med indbyrdes og med overkommandoen. En allieret handelskonvoj med ti tusind passagerer og vitale forsyninger kommer i fare... Dette er scenariet i filmen Enigma (2002). Udgivet af Fysikforlaget med støtte fra Undervisningsministeriets tips/lottomidler og af Birch & Krogboe Fonden Redaktion: Niels Elbrønd Hansen Layout: Mette Qvistorff Produktionsgruppe: Aksel Bertelsen (fagredaktør), Johan P Hansen og Knud Nissen. Tryk: Budolfi Tryk, Aalborg Oplag: Den sande historie om Enigma er en lidt anden end den, der fortælles i filmen. Matematikeren, der havde hovedrollen i virkeligheden, var Alan Turing - en blændende matematisk begavelse. Turing konstruerede en maskine (Le Bombe), der kunne bryde Enigma på kort tid, og det selvom tyskerne ændrede nøglen dagligt. Ud over sin indsats i krigen er Turing især kendt som en af pionererne inden for beregnelighedsteorien, hvor han har lagt navn til det centrale begreb: Turing maskinen.